Cyberkriminelle nutzen zunehmend Web3-Infrastruktur, um Angriffe auf Software-Lieferketten zu steuern. Öffentliche Blockchain-Netzwerke dienen dabei als resiliente Command-and-Control-(C2)-Schicht für Malware. Diese Methode ermöglicht eine Steuerung infizierter Pakete zur Laufzeit.

Traditionelle Domänen-Blocklisten verlieren dadurch an Wirksamkeit. Das Risiko ist besonders hoch für Cloud-fokussierte Unternehmen, da Cloud-Technologien einen großen Technologie-Stack externer Produkte und Dienste integrieren und so die Angriffsfläche vergrößern.

Die Europäische Kommission wurde im März 2026 Opfer eines Supply-Chain-bedingten Cloud-Breaches. Dieser Vorfall wird mit der Kompromittierung des Trivy-Sicherheitsscanners in Verbindung gebracht.

Blockchain als verborgene Kommandozentrale

Die Nutzung von Blockchain-Netzwerken für C2-Operationen ändert die Art und Weise, wie Malware gesteuert wird. Statt einer festen C2-Adresse im Code fragt die Malware einen Smart Contract oder eine Blockchain-Transaktion ab. So erhält sie ihr aktuelles Ziel zur Laufzeit. Das macht die Steuerung infizierter Pakete resilienter und ermöglicht Angreifern, traditionelle Domänen-Blocklisten zu umgehen.

Das Analyse-Team Unit 42 von Palo Alto Networks identifizierte den ChainDrop-npm-Wurm. Dieser infizierte mehr als 400 Pakete und nutzte einen Ethereum-Smart-Contract. Dadurch konnte der Wurm seine C2-Adresse ändern, ohne die Pakete neu veröffentlichen zu müssen.

Gefahr für Cloud-Infrastrukturen und Entwickler

Die Bedrohung durch Web3-basierte Supply-Chain-Angriffe ist besonders hoch für Organisationen, die stark auf Cloud-Technologien setzen. Kompromittierte Open-Source-Pakete können auf Entwickler-Laptops und in CI/CD-Pipelines ausgeführt werden. Dabei können sie Cloud-Identitätstoken, Bereitstellungsgeheimnisse und GitHub-Anmeldeinformationen exfiltrieren.

Der ChainDrop-Wurm sammelte Cloud-Anmeldeinformationen, npm- und GitHub-Tokens, SSH-Schlüssel, Kubernetes-Tokens, Terraform-State-Dateien sowie Vault-Tokens. Er suchte außerdem im Speicher von GitHub-Actions-Runner-Prozessen nach kurzlebigen OIDC-Tokens und Runner-Geheimnissen.

Europäische Kommission als Opfer eines umfassenden Angriffs

Die Europäische Kommission wurde im März 2026 von einem Cloud-Breach betroffen. Dabei wurden etwa 91,7 Gigabyte komprimierte Daten exfiltriert. Dies entspricht nach Analyseangaben etwa 340 Gigabyte unkomprimiert. Der initiale Zugriff erfolgte am 19. März 2026 durch ein kompromittiertes AWS-Secret (API-Key). Dieser Key wurde im Zusammenhang mit der Trivy-Supply-Chain-Kompromittierung erbeutet.

CERT-EU und die Europäische Kommission bestätigten, dass die Kommission während des relevanten Zeitraums unwissentlich eine kompromittierte Version von Trivy über reguläre Update-Kanäle erhalten hatte. Die Datenerpressungsgruppe ShinyHunters veröffentlichte Teile der gestohlenen Daten auf einer Darknet-Leak-Site. Nach Angaben der Analyse könnten die exfiltrierten Daten 42 interne Kunden der Kommission sowie mindestens 29 weitere Unionseinrichtungen betreffen.

Diese nutzen den Webhosting-Dienst „europa.eu“ auf AWS. Die Auswertung der kompromittierten Datenbanken läuft weiterhin. Sie erfordert nach Angaben der zuständigen Stellen Zeit aufgrund von Umfang und Komplexität.

Anstieg der Supply-Chain-Angriffe und die Rolle von Web3

Zwischen 2021 und 2023 stieg die Anzahl der Supply-Chain-Angriffe um 431 Prozent. Gartner prognostiziert, dass bis 2025 rund 45 Prozent der Organisationen weltweit Supply-Chain-Angriffe auf ihre Software erleben werden. Dies wäre eine Verdreifachung gegenüber 2021.

Das World Economic Forum und Accenture berichten 2026, dass 65 Prozent der großen Unternehmen Schwachstellen bei Dritten und in der Lieferkette als ihre größte Herausforderung ansehen.

Eigenschaften von Web3-Systemen wie Unveränderlichkeit, Transparenz und Finalität können die Folgen von Supply-Chain-Angriffen verstärken. Kompromittierte RPC-Endpunkte können den Anwendungszustand manipulieren. Bösartige Smart-Contract-Bibliotheks-Upgrades können alle abhängigen Verträge betreffen.

Frontend-Dependency-Poisoning kann Transaktionsparameter ändern. Im Jahr 2024 wurden Kryptowährungen im Gesamtwert von rund 1,49 Milliarden US-Dollar entwendet. Der Ronin-Network-Hack mit etwa 625 Millionen US-Dollar ist ein weiteres Beispiel für irreversible finanzielle Verluste in Web3-Systemen.

Ein konkreter Vorfall betraf die Solana web3.js-Bibliothek. Am 2. Dezember 2024 waren zwei bösartige Versionen (1.95.6 und 1.95.7) für etwa fünf Stunden über das offizielle Repository verfügbar.

Zuvor war ein GitHub-Konto mit Veröffentlichungsrechten kompromittiert worden. Diese Versionen enthielten laut Analyse Code zum Diebstahl privater Schlüssel und zum Abzug von Geldern aus dezentralen Anwendungen. GitHub warnte, dass Systeme, die diese Versionen installiert hatten, als vollständig kompromittiert betrachtet werden sollten.

Einordnung und Ausblick

Die Bedrohung durch Web3-basierte Supply-Chain-Angriffe erfordert von Unternehmen und Entwicklern eine Neubewertung ihrer Sicherheitsstrategien. „Software supply chains are no longer a niche target for attackers—they’ve become one of the most exploited and strategically contested attack surfaces in cybersecurity“, so Mario Vuksan, CEO von ReversingLabs. Die Cloud verstärkt dieses Risiko, weil sie einen Technologie-Stack aus Produkten und Diensten externer Anbieter integriert.

Sicherheitsfirmen und Analysten empfehlen unter anderem Zero-Trust-Ansätze, um übermäßiges Vertrauen in Drittparteien zu reduzieren. Nach vorliegenden Angaben haben etwa 45 Prozent der Sicherheitsvorfälle ihren Ursprung in Cloud-Umgebungen. Die durchschnittlichen Kosten eines Datenlecks lagen 2024 bei rund 4,88 Millionen US-Dollar.

Die noch laufende Analyse des EC-Breaches und die unvollständig quantifizierten Auswirkungen des Solana-Vorfalls zeigen, dass diese Bedrohungsvektoren systematisch adressiert werden müssen.

Unternehmen sollten ihre Abhängigkeiten in der Software-Lieferkette prüfen. Sie müssen Mechanismen zur Erkennung und Abwehr von Manipulationen implementieren, um derartigen Angriffen zu begegnen.